ShinyHunters تستغل ثغرة صفرية في أنظمة Oracle PeopleSoft وتخترق بيانات أكثر من 100 مؤسسة حول العالم

في كشف منسق، أكدت شركتا Mandiant ومجموعة استخبارات التهديدات من Google (GTIG) وجود حملة استغلال استمرت أسبوعين بقيادة عصابة الابتزاز المالي ShinyHunters (والتي تُعرف أيضاً باسم UNC6240). استغلت الحملة ثغرة أمنية صفرية حرجة في برمجيات Oracle PeopleSoft، مما سمح للمهاجمين بتنفيذ أوامر عن بُعد دون أي مصادقة، وأدى ذلك إلى سرقة واسعة للبيانات طالت بشكل رئيسي المؤسسات التعليمية. حدث النشاط الإجرامي قبل أن تنشر Oracle تنبيهاً أمنياً خارج الجدول المعتاد، تاركةً المؤسسات دون تحديث رسمي طوال فترة الاختراق .

الثغرة الصفرية: CVE-2026-35273

حصلت الثغرة على الرمز CVE-2026-35273، وتكمن في مكون إدارة البيئة (Environment Management) من حزمة PeopleSoft PeopleTools. صُنفت بدرجة خطورة قصوى بلغت 9.8 من 10 على مقياس CVSS . تسمح الثغرة بتنفيذ تعليمات برمجية عن بُعد (RCE) دون الحاجة لأي مصادقة عبر بروتوكولات HTTP/HTTPS، مما يعني أن المخترق لا يحتاج لأي بيانات تسجيل دخول أو تفاعل من المستخدم - فقط الوصول الشبكي للخادم المستهدف .

ركز ناقل الهجوم على نقاط نهاية مركز إدارة البيئة (PSEMHUB). رصدت Google طلبات POST خبيثة إلى المسارات مثل /PSEMHUB/hub و /PSIGW/HttpListeningConnector . تؤثر الثغرة على النسختين 8.61 و 8.62 من PeopleTools . الأمر الأكثر أهمية أن الجدول الزمني للحملة، من 27 مايو إلى 9 يونيو 2026، يسبق بالكامل تنبيه Oracle الصادر في 10 يونيو، مما يؤكد أنه تم استغلالها كهجمة صفرية دون وجود تحديث أمني .

حملة ShinyHunters: النطاق والاستهداف

كشف تحقيق Google عن عملية واسعة ودقيقة. تمكنت ShinyHunters من اختراق حوالي 300 خادم PeopleSoft موزعين على أكثر من 100 مؤسسة حول العالم . اتخذت GTIG خطوة استباقية بإبلاغ أكثر من 100 من هذه المؤسسات المعرضة للخطر خلال فترة الاستغلال النشط .

أظهرت الحملة نمطاً واضحاً في الاستهداف: 68% من الضحايا المعروفين كانوا في قطاع التعليم العالي، وبشكل رئيسي الكليات والجامعات التي يقع معظمها في الولايات المتحدة .

للحفاظ على السيطرة والتخفي، نشر المهاجمون أدوات إدارة عن بُعد تُدعى MeshCentral، لكن بأسماء ملفات مُقنعة توحي بأنها خدمات Microsoft Azure شرعية، مثل meshagent64-azure-ops.exe. كما قامت البنية التحتية للقيادة والتحكم بمحاكاة Azure عبر استخدام النطاق azurenetfiles.net . تم لاحقاً نشر البيانات المسروقة على موقع تسريب البيانات (DLS) الخاص بـ ShinyHunters بتاريخ 9 يونيو 2026 .

جامعة نوتنغهام: دراسة حالة للضرر

أصبحت جامعة نوتنغهام أول ضحية مؤكدة علناً، مقدمًة توضيحاً صارخاً لعواقب الاختراق. أقرّت الجامعة بوجود حادث سيبراني أثر على نظام سجلات الطلاب، مؤكدةً أن كمية كبيرة من البيانات، تصل إلى عشرات الجيغابايتات، قد تم الوصول إليها .

تشير التقارير من مصادر متعددة إلى أن ما بين 454,600 و 500,000 سجل شخصي وأكاديمي يعود لطلاب حاليين وسابقين قد سُرقوا . البيانات المسروقة كانت بشكل رئيسي سجلات الطلاب والخريجين، لكن الجامعة أشارت إلى أن التفاصيل المصرفية للموظفين وبيانات الأبحاث لم تكن ضمن نطاق الاختراق . تضمنت البيانات المخترقة عناوين المنازل وأرقام الهواتف وتواريخ الميلاد، وسرعان ما نُشرت على موقع تسريبات ShinyHunters وفُهرست بواسطة خدمة "Have I Been Pwned" .

إجراءات حماية فورية في غياب التحديث الكامل

بينما أصدرت Oracle تنبيهاً أمنياً عاجلاً في 10 يونيو 2026، فإن الإرشادات الأولية تقتصر على حلول بديلة وليس تحديثاً برمجياً كاملاً. بالتوافق مع تنبيه Oracle، توصي مدونة استخبارات التهديدات من Google المؤسسات باتخاذ الخطوات الفورية التالية لحماية خوادم PeopleSoft المعرضة للإصابة :

1. تعطيل أو إزالة خدمة EMHub: في التكوينات متعددة الخوادم، يجب تعطيل خدمة مركز إدارة البيئة. أما في التكوينات ذات الخادم الواحد، فالتوصية هي إزالة تطبيق PSEMHUB بالكامل .
2. حظر الوصول الخارجي على حدود الشبكة: تقييد الوصول إلى نقاط النهاية المستهدفة، وتحديداً المسارين /PSEMHUB/* و /PSIGW/HttpListeningConnector، باستخدام جدران الحماية الشبكية أو قوائم التحكم بالوصول .
3. تدقيق سجلات الوصول: يجب على فرق الأمن فحص سجلات الوصول الخاصة بـ PIA WebLogic فوراً للبحث عن أي طلبات POST إلى /PSEMHUB/hub و /PSIGW/HttpListeningConnector صادرة من عناوين IP خارجية لتحديد أي اختراق سابق .
4. البحث عن برمجيات خبيثة (Web Shells): تفحص نظام ملفات PeopleSoft بحثاً عن ملفات غير متوقعة بصيغة .jsp قد يكون المهاجم زرعها، خاصة تحت المسار /webserv/applications/peoplesoft/PSEMHUB.war/ .
5. مراقبة مؤشرات الاختراق (IOCs): مراقبة وجود مجلدات مشبوهة بأسماء مثل logs أو persistantstorage أو scratchpad داخل مسارات PSEMHUB. بالإضافة إلى ذلك، فحص أي حركة مرور صادرة من نوع SMB من خوادم PeopleSoft، والتي قد تشير إلى تسريب للبيانات .

تعتبر هذه الخطوات تدابير مؤقتة وضرورية. يجب على المؤسسات التي تدير النسختين 8.61 و 8.62 من PeopleTools إعطاء الأولوية لتطبيق تحديث Oracle الأمني العاجل بمجرد توفره للحد بشكل كامل من خطر المزيد من الاستغلال .